ugrás a tartalomhoz

BBCODE linkké alakítása

whiteman0524 · 2009. Szep. 13. (V), 19.03
Üdv !

Annyit szeretnék kérdezni, hogy ha BBCODE-ot használok, akkor például az url-ek minden további nélkül linkekké alakíthatóak egy egyszerű reguláris kifejezéssel, vagy kell-e szűrni őket valamilyen módon esetleg ? Most arra gondolok, hogy ugye elég sok fajta támadást be lehet vinni például a kliens oldal ellen, és én már semmiben sem bízom. Itt konkrétan arra lennék kíváncsi, hogy egy url-ben elrejthető, vagy megadható-e olyan "adat" ami nem kívánatos lenne (például rossz indulatú javascript stb.), mert akkor erre oda kéne figyelni átalakításnál.

És ha megadható ilyen jellegű "támadás", akkor hálás lennék ha említene valaki védekezési módszert is ellene, netán, - ha nem túl bonyolult - akkor egy konkrét példát is. A válasz(okat) előre is köszönöm.
‹ setlocale beállítás után ékezetek helyett idézőjelek jelennek meg Kis és nagybetű szerinti beléptetés MySQL és PHP párossal ›
 ■
1

XSS

Poetro · 2009. Szep. 13. (V), 19.06
XSS szempontjából mindenképpen szűrni kell a linkeket mindenképpen.
2

Értem

whiteman0524 · 2009. Szep. 14. (H), 08.21
Tehát akkor általuk is be lehet vinni támadást. Most már csak az érdekelne hogy hogyan lehet ellene védekezni ? Mert ha XSS, akkor előszöris a "bajos" karakterek jutnak az eszembe. Mint például az aposztrófok MySQL esetében, vagy az $, a :, a < vagy az >. HTML esetében ezek ártalmatlanítása nem okoz gondot, mert csak egyszerűen átkódolom őket. Nade egy url címet, nem kódolhatok át mert akkor a cím már nem az eredetiként értelmeződik. Szal hogy a HTML esetében például a kettőspontot (:) &#58-al tudom helyettesíteni, mert ugyan úgy kettőspontként fog megjelenni. Nade ha ezt az url-ben is átkódolom akkor ott már &#58-ként fog értelmeződni, ami nem jó. Rá lehetne menni persze a különböző dolgok szűrésére, mittomén ha a : után javascript áll, de ez szerintem hülyeség, mert annyi féle variáció létezik, hogy ezeket egyenként lekezelni botorság lenne.

Szóval hogy lehetne megoldani a fönti problémát ? :)